セキュリティポリシー
Bluesky.bot にセキュリティ上の問題を見つけましたか？ ご連絡ありがとうございます。公開される前にボット作成者を守れるよう、非公開でご報告ください。
脆弱性を報告する
[email protected] までメールをお送りください(英語またはフランス語)。
セキュリティ上の問題について、公開の Issue、投稿、ディスカッションを作成しないでください。
次の内容を含めてください:
- 問題とその影響の説明、
- 再現手順または概念実証、
- 影響を受ける URL、ルート、ファイル、
- 修正案(あれば)。
報告には、実際のユーザーデータや有効な認証情報を含めないでください。
対応の流れ
- 72 時間以内に受領を確認します。
- 7 日以内に最初の評価をお伝えします。
- 修正後、ユーザーが保護された段階で、あなたと調整のうえ公開します。ご希望があればクレジットを掲載します。
対象範囲
- bluesky.bot のウェブアプリと、*.bluesky.bot のハンドル解決 (/.well-known/atproto-did)
- Bluesky OAuth によるサインインとセッション管理
- 公開 API、管理用バックオフィス、ラベラーサービス
対象外: 大量アクセスによるサービス拒否、ソーシャルエンジニアリング、サードパーティサービス(Bluesky、Cloudflare)の問題。これらは各サービスへ報告してください。
サポート対象のバージョン
セキュリティ修正の対象は、bluesky.bot の現在の本番環境のみです。
機械可読の連絡先
同じ連絡先を /.well-known/security.txt で公開しています (RFC 9116)。